[DISK] 이벤트 예약 웹사이트를 운영하고... #A

A

공격자가 웹페이지 소스코드를 유출한 시간은?

 

history

[account]-history 파일에서 chmod 777로 모든 권한을 주는 의심스러운 명령어를 확인할 수 있다.

/var/www/upload/editor/image <- 해당 디렉토리를 주목하자

 

pstree_a

[process]-pstree_a 파일에서 /var/www/upload/editor/image 경로에 reverse.php 파일이 sh, php 명령어를 통해 동작하고 있음을 확인할 수 있다. reverse.php로 웹쉘 동작을 하는지 의심할 수 있다.

 

acess 

[weblog]-access 파일에서 로그 기록을 확인할 수 있다. /upload/editor/image 경로를 검색해보니 cmd.php라는 또 다른 의심스러운 파일이 base64인코딩 되어 있다.

 

cHdk = pwd

 

access

bHMgLWFsICAvdmFyL3d3dy91cGxvYWQvZWRpdG9yL2ltYWdlLw%20%20

= ls -al  /var/www/upload/editor/image/

 

access

dGFyIC1jdmYgL3Zhci93d3cvdXBsb2FkL2VkaXRvci9pbWFnZS8xMzMwNjY0ODM4IC92YXIvd3d3Lw%20%20

= tar -cvf /var/www/upload/editor/image/1330664838 /var/www/

 

access

cGhwIC1mIC92YXIvd3d3L3VwbG9hZC9lZGl0b3IvaW1hZ2UvcmV2ZXJzZS5waHA%20

= php -f /var/www/upload/editor/image/reverse.php6

 

key : 2012-08-25_17:26:40

(괄호 쓰면 안됨!)